നഷ്ടമായ VPN ഉപകരണം റദ്ദാക്കുന്നത്: കീ, സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ അക്കൗണ്ട്

നിങ്ങളുടെ ലാപ്ടോപ്പ് പോയി, VPN ഇപ്പോഴും അതിനെ ക്ലയന്റായി പട്ടികപ്പെടുത്തുന്നു. അടിയന്തിര ചോദ്യം ഇനി നിങ്ങളുടെ കൈവശമില്ലാത്ത ഒരു മെഷീനിൽ പ്രൊഫൈൽ എങ്ങനെ ഇല്ലാതാക്കാം എന്നല്ല, മറിച്ച് സെർവർ ഇനി ഏത് ഐഡന്റിറ്റി സ്വീകരിക്കുന്നു എന്നതാണ്. WireGuard പൊതു കീ പരിശോധിക്കുന്നു, PKI അടിസ്ഥാനമാക്കിയ OpenVPN ക്രമീകരണം ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് പരിശോധിക്കുന്നു, SSO ഉള്ള VPN അക്കൗണ്ടും അതിന്റെ സെഷൻ ടോക്കണും പരിശോധിക്കുന്നു. ഈ മൂന്നും വ്യത്യസ്ത സ്ഥലങ്ങളിൽ, വ്യത്യസ്ത വേഗതയിൽ റദ്ദാകുന്നു, ഒന്ന് ശരിയാക്കി മറ്റുള്ളവ അവഗണിക്കുന്നതാണ് നഷ്ടമായ ഉപകരണം ബന്ധിപ്പിച്ചിരിക്കുന്നതിന്റെ കാരണം.

മൂന്ന് ഐഡന്റിറ്റികളും ഓരോന്നും നിയന്ത്രിക്കുന്നതും

ഓരോ സംവിധാനവും വ്യത്യസ്ത ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു. പിയർ കീ നിങ്ങൾ രജിസ്റ്റർ ചെയ്ത മെഷീനാണോ എന്ന് ഉത്തരം നൽകുന്നു. സർട്ടിഫിക്കറ്റ് അത് നിങ്ങളുടെ CA ഒപ്പിട്ടതാണോ, റദ്ദാക്കിയിട്ടില്ലേ എന്ന് ഉത്തരം നൽകുന്നു. അക്കൗണ്ട് ഈ വ്യക്തി മതിയായ സമീപകാലത്ത് പ്രാമാണീകരിച്ചോ എന്ന് ഉത്തരം നൽകുന്നു. രണ്ടെണ്ണം പാളികളായി ചേർക്കുന്ന വിന്യാസം, ഉദാഹരണത്തിന് സർട്ടിഫിക്കറ്റും ഡയറക്ടറി ലോഗിനും, ഉപകരണത്തിന് എന്തെങ്കിലും നൽകിയ ഓരോ പാളിയോടും അത് സ്വീകരിക്കുന്നത് നിർത്താൻ പറയുമ്പോൾ മാത്രമാണ് വാതിൽ അടയ്ക്കുന്നത്.

പ്രായോഗിക കെണി എന്തെന്നാൽ കാണാതായ മെഷീൻ ഓരോ ക്രെഡൻഷ്യലിന്റെയും സ്വകാര്യ പകുതി കൈവശം വയ്ക്കുന്നു, അതിനാൽ നിങ്ങൾ പ്രാദേശികമായി ചെയ്യുന്നതൊന്നും സെർവറിൽ എത്തുന്നില്ല.

WireGuard: റദ്ദാക്കൽ പട്ടിക ഇല്ലാത്തതിനാൽ പിയർ നീക്കം ചെയ്യുക

WireGuard ഒരു വിലക്ക് പട്ടികയും സൂക്ഷിക്കുന്നില്ല. പിയറുകളായി ക്രമീകരിച്ച പൊതു കീകൾ മാത്രമാണ് ഇന്റർഫേസ് സ്വീകരിക്കുന്നത്, അതിനാൽ റദ്ദാക്കൽ അർഥം ഇല്ലാതാക്കൽ: wg set wg0 peer <public-key> remove പ്രവർത്തിപ്പിക്കുക, ഇത് wg(8)-ൽ രേഖപ്പെടുത്തിയ രൂപമാണ്, തുടർന്ന് wg0.conf ൽ നിന്ന് ഒത്തുപോകുന്ന [Peer] ബ്ലോക്ക് ഇല്ലാതാക്കുക. രണ്ടും ചെയ്യുക. റൺടൈമിൽ മാത്രം നീക്കം ചെയ്യുന്നത് അടുത്ത റീബൂട്ട് അല്ലെങ്കിൽ കോൺഫിഗ് വീണ്ടും ലോഡ് ചെയ്യുന്നത് വരെ നിലനിൽക്കും, അപ്പോൾ ഫയൽ കീ തിരികെ ഇടുന്നു.

നിലവിലുള്ള സെഷനുകൾ മരിക്കാൻ ടൈമർ ആവശ്യമില്ല. പിയർ നീക്കം ചെയ്യുന്നത് അതിന്റെ ഹാൻഡ്ഷേക്കും കീ മെറ്റീരിയലും ഉപേക്ഷിക്കുന്നു, അതിനാൽ സാധുവായ കീ ജോഡി വീണ്ടും ആവശ്യമാകുമ്പോൾ തന്നെ ട്രാഫിക് നിലയ്ക്കുന്നു. സെർവറിൽ wg show wg0 latest-handshakes പരിശോധിക്കുക: നഷ്ടമായ കീയുടെ എൻട്രി അപ്രത്യക്ഷമാകുകയും അപ്രത്യക്ഷമായി തുടരുകയും വേണം, മറ്റ് പിയറുകൾ സമീപകാല യുഗങ്ങൾ റിപ്പോർട്ട് ചെയ്തുകൊണ്ടിരിക്കുമ്പോൾ.

ഒരു മുന്നറിയിപ്പ് കാണുന്നതിലും പ്രധാനമാണ്. ആരോ ഒരു കോൺഫിഗ് ഫയൽ പകർത്തിയതിനാൽ നഷ്ടമായ ഉപകരണം മറ്റ് ഉപകരണങ്ങളുമായി കീ പങ്കിട്ടിരുന്നെങ്കിൽ, ആ കീ നീക്കം ചെയ്യുന്നത് അവയെല്ലാം വിച്ഛേദിക്കുന്നു; അത് ഇപ്പോഴും ശരിയായ നീക്കമാണ്, പിന്നീട് പങ്കിട്ട കീ പുനഃസ്ഥാപിക്കുന്നതിന് പകരം ഓരോ ഉപകരണത്തിനും പ്രത്യേകം കീ നൽകുക.

സർട്ടിഫിക്കറ്റുകൾ: ഡീമൺ അത് വായിക്കുന്നുവെങ്കിൽ മാത്രമാണ് CRL കണക്കാക്കുന്നത്

സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ പ്രവേശനം ആളുകൾ ഒഴിവാക്കുന്ന ഒരു ഘട്ടം ചേർക്കുന്നു. easyrsa revoke laptop-01 CA ഡാറ്റാബേസിൽ സർട്ടിഫിക്കറ്റ് റദ്ദാക്കിയതായി അടയാളപ്പെടുത്തുന്നു, പക്ഷേ VPN ആ ഡാറ്റാബേസിൽ നിന്ന് ഒന്നും പഠിക്കുന്നില്ല. തുടർന്ന് easyrsa gen-crl പ്രവർത്തിപ്പിച്ച് crl.pem എഴുതുന്നു, അത് സെർവറിന്റെ crl-verify ഓപ്ഷനിൽ പറഞ്ഞിരിക്കുന്ന പാതയിലേക്ക് പകർത്തുന്നു, പ്രവർത്തിക്കുന്ന ഡീമൺ പുതിയ ഫയൽ ഉപയോഗിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുന്നു. CRL വീണ്ടും സൃഷ്ടിച്ച് വിതരണം ചെയ്യാതെ റദ്ദാക്കുന്നത് ഫലരഹിതമാണ്.

സമയമാണ് രണ്ടാം പകുതി. ക്ലയന്റ് ബന്ധിപ്പിക്കുമ്പോഴോ വീണ്ടും ചർച്ച ചെയ്യുമ്പോഴോ CRL പരിശോധിക്കുന്നു, അതിനാൽ സ്ഥാപിതമായ ടണൽ അതുവരെ കൈമാറ്റം തുടരാം. ഉപകരണം ഉടൻ വിച്ഛേദിക്കേണ്ടതുണ്ടെങ്കിൽ, അടുത്ത ഹാൻഡ്ഷേക്കിനായി കാത്തിരിക്കുന്നതിന് പകരം OpenVPN മാനേജ്മെന്റ് ഇന്റർഫേസിലൂടെ ആ സെഷൻ വ്യക്തമായി അവസാനിപ്പിക്കുക. സേവനം വീണ്ടും ലോഡ് ചെയ്യുന്നതോ പുനരാരംഭിക്കുന്നതോ, വിന്യാസം CRL എങ്ങനെ ലോഡ് ചെയ്യുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു, മാറ്റത്തിന്റെ ഭാഗമാണ്, ഐച്ഛിക അധികമല്ല.

മറ്റൊരു മെഷീനിൽ നിന്ന് പരിശോധിക്കുന്നത് മൂല്യവത്താണ്: റദ്ദാക്കിയ സർട്ടിഫിക്കറ്റ് അവതരിപ്പിച്ച് ഹാൻഡ്ഷേക്ക് പരാജയം പ്രതീക്ഷിക്കുക, സാധാരണയായി VERIFY ERROR: depth=0, error=certificate revoked. ബന്ധം ഇപ്പോഴും വിജയിക്കുന്നുവെങ്കിൽ, ക്ലയന്റ് നിങ്ങൾ അപ്ഡേറ്റ് ചെയ്തതിൽ നിന്ന് വ്യത്യസ്തമായ CRL വായിക്കുകയാണ്.

അക്കൗണ്ടുകളും സെഷനുകളും: നിഷ്ക്രിയമാക്കുന്നത് പുറത്താക്കുന്നതല്ല

ഡയറക്ടറി അല്ലെങ്കിൽ SSO ലോഗിനുകൾ പ്രാമാണീകരണ സമയത്ത് പരിശോധിക്കുന്നു. അക്കൗണ്ട് നിഷ്ക്രിയമാക്കുന്നത് അടുത്ത ലോഗിൻ തടയുന്നു, പക്ഷേ പുതുക്കൽ ടോക്കണും സ്ഥാപിതമായ ടണലും കാലഹരണപ്പെടുന്നത് വരെ പ്രവർത്തിച്ചേക്കാം. ആ ഉപയോക്താവിന്റെ സെഷനുകളും ടോക്കണുകളും റദ്ദാക്കുക, അല്ലെങ്കിൽ ഐഡന്റിറ്റി ദാതാവ് പിന്തുണയ്ക്കുന്നുവെങ്കിൽ സെഷൻ പതിപ്പ് ഉയർത്തുക. നഷ്ടമായ ഉപകരണം MFA എൻറോൾമെന്റിൽ നിന്നും നീക്കം ചെയ്യുക, കാരണം രജിസ്റ്റർ ചെയ്ത ഓതന്റിക്കേറ്റർ സ്വതന്ത്രമായ ഒരു പ്രവേശന പാതയാണ്.

RADIUS അടിസ്ഥാനമാക്കിയ VPN-കൾ സജീവമായ സെഷൻ വീഴ്ത്താൻ ഡിസ്കണക്ട് സന്ദേശമോ അധികാര മാറ്റമോ അയക്കാം, പക്ഷേ എല്ലാ നെറ്റ്വർക്ക് ആക്സസ് സെർവറുകളും അത് പാലിക്കുന്നില്ല. സംശയമുണ്ടെങ്കിൽ സെർവർ ഭാഗത്തുനിന്ന് ഉപയോക്താവിന്റെ സെഷൻ അവസാനിപ്പിച്ച് ലോഗുകളിൽ പഴയ സെഷൻ അടച്ചുവെന്ന് സ്ഥിരീകരിക്കുക.

അടുത്ത മണിക്കൂറിലെ പ്രവർത്തനങ്ങളുടെ ക്രമം

ക്ലയന്റിൽ നിന്നല്ല, ഇൻവെന്ററിയിൽ നിന്ന് തുടങ്ങുക: ഉപകരണവുമായി ബന്ധപ്പെട്ട ഓരോ ഐഡന്റിറ്റിയും പട്ടികപ്പെടുത്തുക, അത് പിയർ കീയോ സർട്ടിഫിക്കറ്റ് സീരിയൽ നമ്പറോ അക്കൗണ്ടോ ആകട്ടെ. ബന്ധം നിർമ്മിക്കുന്ന ക്രമത്തിൽ ഓരോ ഇഷ്യൂ ചെയ്യുന്ന സിസ്റ്റത്തിലും റദ്ദാക്കുക, അതായത് ആദ്യം അക്കൗണ്ട്, പിന്നെ സർട്ടിഫിക്കറ്റ്, പിന്നെ പിയർ. തുടർന്ന് നിങ്ങൾ നിയന്ത്രിക്കുന്ന ഒരു മെഷീനിൽ നിന്ന് നിരാകരണം തെളിയിക്കുക.

രണ്ട് തുടർപ്രവർത്തനങ്ങൾ മറക്കാൻ എളുപ്പമാണ്. ആദ്യം, ഉപകരണത്തിൽ ഉണ്ടായിരുന്ന മറ്റെല്ലാം മാറ്റുക, പ്രത്യേകിച്ച് SSH കീകൾ, ക്ലൗഡ് കൺസോൾ ക്രെഡൻഷ്യലുകൾ, പങ്കിട്ട WireGuard മുൻകൂട്ടി പങ്കിട്ട കീ. രണ്ടാമത്, കോൺഫിഗറേഷൻ മാനേജ്മെന്റോ സ്നാപ്ഷോട്ടുകളോ ഗോൾഡൻ ഇമേജുകളോ അടുത്ത പുനർനിർമ്മാണത്തിൽ നീക്കം ചെയ്ത ക്ലയന്റിനെ തിരികെ കൊണ്ടുവരാൻ കഴിയില്ലെന്ന് പരിശോധിക്കുക.

ദീർഘകാല പരിഹാരം ഓരോ ഉപകരണത്തിനും ഒരു ഐഡന്റിറ്റിയാണ്. ഓരോ ലാപ്ടോപ്പും സ്വന്തം പിയർ കീയോ സർട്ടിഫിക്കറ്റോ വഹിക്കുമ്പോൾ, നഷ്ടത്തിന്റെ വില മുഴുവൻ കപ്പൽവ്യൂഹവും പുനർനിർമ്മിക്കുന്നതിന് പകരം ഒരു റദ്ദാക്കൽ കമാൻഡും ഒരു പുനർഇഷ്യൂവുമാണ്.